Kontaktblanketter och dataskydd: Vad är viktigt att tänka på?

Många webbplatser erbjuder ett kontaktformulär för att underlätta kommunikationen med besökarna eller för att få strukturerade och målinriktade meddelanden. Hur många uppgifter får man fortfarande fråga om? Bör användaren begäras att bekräfta dataskyddsinformationerna? Dessa och fler frågor besvaras i artikeln för att säkerställa rättsläget vid användningen av kontaktformulär.

Inledning

Kontaktblanketter skapar regelbundet diskussionsämnen, eftersom de Datenschutzfragen uppstår. I själva verket är det rätt enkelt att erbjuda ett kontaktformulär, eller flera, om man följer några grundregler.

Som vid varje typ av Datenverarbeitning finns det också små risker med kontaktformulär, som kan minskas. I slutändan är risken kontrollerbar och inte högre än vid en kommunikation via ett e-postadress som erbjuds på webbplatsen.

Kontaktformulär erbjuder bättre möjligheter att undvika spam än enbart e-postkommunikation. Den som dock använder Google reCAPTCHA har dåligt juridiska kort.

Följande rekommendationer hjälper snabbt till att skapa säkra kontaktformulär och känna till de juridiska frågorna. Förresten handlar det här inte om nyhetsbrevsformulär, för vilka gäller egna regler. De flesta av de nämnda anvisningarna är dock också överförbara till formulär med vilka intressenter kan anmäla sig till era nyheter och prenumerera på ert nyhetsbrev.

Råd för kontaktformulär

Varje enskild rekommendation säkerställer rättslig säkerhet, när den beaktas. I slutändan har du en webbplats med så många formulär som behövs. Dataskyddsförordningen (GDPR) anger de regler som följs.

Som vanligt i rättsliga frågor finns det inget absolut rätt sätt att göra, utan bara en ökning av rättsäkerheten. Även om du gör allt rätt (vem som helst som bestämmer detta) kan någon anmäla dig eller driva dig till domstol. Men då har motparten dåligt läge och sitter kvar med sina kostnader.

Allmänt kontaktformulär

Ett formulär för allt är möjligt och tillåtet. Men du bör se denna centrala kontaktpunkt bara som ett första steg. Detta formulär ska inte bli ett slaktverktyg där alla världens data hämtas in. Här är min rekommendation för de uppgifter som borde frågas i ett sammelskrivningsformulär:

• Det finns ett kontaktformulär för det.
• E-postadress: Endast så kan ni svara.
• Namn eller pseudonym: Oftast behöver du inte den riktiga namnet på en person. Men ibland är det också viktigt att veta namnet. Bestämmer dig själv om du behöver den riktiga namnet eller ej med hjälp av goda sinnestyrka. På min webbplats behöver jag till exempel inte de riktiga namnen på personer som skriver mig en mail med feedback på mina inlägg och inte använder kommentarfunktionen. Naturligtvis kan jag också skriva till Hasemaus47 om jag vill (om jag svarar är mitt val, om det inte finns någon förpliktelse; jag svarar alltid då om ansvaret är seriöst och värt ett svar).
• Telefonnummer: Endast om det är meningsfullt och ofta behövs. Kanske som ett valfritt alternativ.

Jag skulle inte fråga efter mer data i ett allmänt formulär. Det beror på inriktningen av din webbsida eller verksamhet om du behöver andra allmänna uppgifter. De flesta företag kommer dock att kunna klara sig bra med det som nämnts ovan. Läkarmottagningar, förskolor och bensinverkstäder brukar kanske också behöva telefonnummer till en person.

Mosfelder och Kannfelder

Till varje uppgift som du frågar om i formuläret bör du fundera över om uppgiften är nödvändig eller inte. Nödvändiga uppgifter är tydligt alltid texten i meddelandet och skribentens e-postadress, för att den som mottar meddelandet ska kunna svara.

Namnet på den skrivande personen är ofta inte viktigt. Även för allmänna nyhetsbrev som inte skickas till era kunder måste namnet på abonnenten inte vara känt. Se min nyhetsbrev. För nyhetsbrevspremie frågar jag bara efter mailadressen. Allt annat intresserar mig inte. Om någon vill meddela mig om något, skriver jag sedan till dem via mail. I den e-posten är då ofta namnet på personen som vill meddela mig nämnt, och det gör de för att de själva har valt att nämna sitt namn.

Ju mer specifik ett kontaktformulär är, desto fler uppgifter kan markeras som obligatoriska. I varje enskilt fall ska man pröva vilka uppgifter ni bara vill ha och vilka ni anser vara absolut nödvändiga. I vissa fall kanske vissa uppgifter är särskilt önskvärda. Till exempel sa en förälder till mig att ni behöver telefonnummer eftersom nästan alla inkommande frågor syftar på en plats i förskolan och därför krävs återfrågan. I sådana fall ska man pröva hur ofta ni behöver den aktuella uppgiften och eventuellt göra det till ett obligatoriskt fält.

Syftet med ditt formulär

Ställ dig följande fråga: Vad behöver du ett formulär till? Definiera syftet eller syftena. Har du bara en uppgift upptäckt, då behövs tydligtvis bara ett formulär (eller inget).

Syften för formulär kan exempelvis vara:

• Allmänt kontaktupptagande: Du vet inte då och då varför du vill skriva till någon. I alla fall erbjuder du produkter eller tjänster eller tillhandahåller information. Kontakten kommer sannolikt att ställa en fråga om ditt produkt eller har en fråga till din presentation. Eller så vill den som skriver utöva kritik, vad det än är.
• Tidssättningsavtal: Detta fall förekommer ofta hos läkare eller bilföretag.
• Återringningsbegäran: Vill ni hellre ringa och inte skicka e-post till och från? Då erbjuder ni en sådan möjlighet och frågar intressenten efter sin telefonnummer och ett lämpligt tidssnitt för återringningen.
• Beröm och kritik.
• Kontaktupptagning i kundområdet: Någon är er kund och har loggat in på sitt kundkonto. Hos försäkringar kan kunder exempelvis ge uppdrag, begära ut formulär eller säga upp sig.
• Kommentar till en artikel. Se nedanför eller på journalistiska sidor där läsare kan ge sina åsikter.

Om ni har upptäckt att ni vill erbjuda ett formulär för flera ändamål, ska ni då undersöka vilken information som behövs i formuläret för varje ändamål. Ändamål som har många gemensamma krav på den information som behövs och också är tematiskt nära besläktade kan samlas i ett enda formulär.

Allt annat tillhör olika formulär, om ni inte bestämmer er för att erbjuda ett allmänt kontaktformulär.

Personuppgiftsinformation tillgänglig

Nämnda formulär, vad ni använder de begärda uppgifterna till. Länka sedan till era dataskyddsinstruktioner på er webbplats. Allt detta kan se ut ungefär så och placeras under inmatningsfälten i formuläret och ovanför skicka-knappen:

Vi använder dina uppgifter för att besvara din fråga. För ytterligare information se våra Dataskyddsinstruktioner.

Se till att länken är sådan att den öppnar i ett nytt fönster. Inget är mer besvärande än en formuläruppgift som försvinner, eftersom man vill snabbt kasta en blick på dataskyddsinformationerna. Om du vill göra det så bekvämt som möjligt, kan du använda ett s.k. HTML-användare. Med detta kan du forma länken så att den direkt hämtar inpassagen för kontaktformulär i dina dataskyddsinformationer. Så här gör du:

Ankare i era dataskyddsinformationer definiera:

I WordPress kan ankringsplatsen definieras genom att placera peknappen i redaktorn på önskad text och klicka på "Utökat" i den högra rutan:

Använd länken till Anker:

<a href="https://dr-dsgvo.de/datenschutz/#formular>Information om dataskydd för kontaktformulär</a>

Skriv ett hashtag innan ankarnamnet så att koden fungerar rätt.

Så ser länken ut. När du klickar på den hoppar läsarens område direkt dit där informationen till formuläret står:

Personuppgiftsmeddelanden för kontaktformulär

Eftersom det inte finns några formulär utöver för nyhetsbrevet på min sida, har jag placerat ankern "formular" till nyhetsbreven för att visa hur man gör. Tips från praktiken: Sätt in ankern ett par rader högre än dit den egentligen ska gå. För det är möjligt att texten då visas alltför långt upp och avsnittas beroende på webbläsaren.

Som ni ser har jag gjort mina dataskyddsinformationer tillgängliga, för att göra dem tillgängligare. Kanske tänker ni också över detta? Hur man gör det, kan ni läsa om i den artikel som länkats ovan.

Personuppgiftslagstiftningar:

Förklara "enkel" vad som händer. Till exempel så:

Kontaktblankett

Om du skickar oss en förfrågan via kontaktformuläret sparas och hanteras dina uppgifter från formuläret inklusive de kontaktdetaljer du anger där, för att kunna behandla din förfrågan och i händelse av ytterligare frågor hos oss. Dina uppgifter används enbart med syfte att besvara och hantera ditt ärende. Datahanteringen sker här enligt Artikel 6, §1 lit. f DSGVO på grundval av ett berättigat intresse.

Om vi misstänker bedrägeri eller missbruk, till exempel för att upptäcka hackerangrepp, har vi rätt att spara dina nätverksdata i en kort period och bara för detta ändamål. Den maximala lagretiden är 30 dagar, om inte ett annat skäl kräver längre lagring.

Mall för en dataskyddstext för kontaktformulär.

Viktigt: Endast uppgift, inte bekräftelse

Nu kommer det mest viktiga: Ge bara de här nämnda dataskyddsinstruktionerna till kännedom. Fråga inte efter en bekräftelse eller samtycke. Ni får inte låta bli att bekräfta att någon har läst era dataskyddsinstruktioner. Om besökaren på er webbplats läser eller inte är hans/hennes sak och ni får inte bestämma detta. En dataskyddsutredning är ingen avtal. Se till exempel domen från KG Berlin (27.12.2018 – 23 U 196/13).

Det är ditt berättigade intresse (Artikel 6 § 1 punkt f DSGVO), att använda uppgifterna om den person som skriver till dig, för att svara eller bearbeta begäran. I andra sammanhang bör du endast mycket sparsamt använda berättigat intresse som rättslig grund, eftersom det oftast inte finns.

Skadlig postkontroll

Använd inga Google-plug-ins, om du inte vill riskera problem med integriteten. Alla Google-plug-ins måste godkännas innan de används. Det är min åsikt, som jag förklarar i detalj på detta blogg (Google samlar data utan upphörande, även för att manipulera beteende; Data kan missbrukas av amerikanska underrättelsetjänster; Google samlar mer data än nödvändigt etc.). Även CologneLG är i linje med min åsikt (dom den 23.03.2023 – 33 O 376/22).

Använd istället ett Captcha som Contact Form 7 Image Captcha (för WordPress formulär). Eller använd en ruta där man frågar efter resultatet av en enkel beräkning. Exempel: Hur många är 17 minus 5. Skriv svaret i små bokstäver.

Jag tror personligen att det inte är väsentligt mer spam som kommer in via kontaktformulär än genom direkt utlämning av e-postadresser från företagsinformationssidor. Bra spamfilter hjälper mycket. Spam kan aldrig helt undvikas. Även honeypots är en bra åtgärd.

Kanske har ni möjlighet att kontrollera om meddelandetexten uppfyller en viss längd. Om den inte når minsta längden borde formuläret inte kunna skickas in. En filter som blockerar bestämda oönskade ord kunde lika gärna införas.

Om du använder ett plugin för spamkontroll så se till att den globala anti-spam-databasen är inaktiverad eller att inget data flödar dit. Även om funktionen kan vara användbar för vissa: Om du överför din webbplats besökare IP-adress till "okänd" så är det inte bra. Ett exempel på ett sådant plugin är Antispam Bee för WordPress.

Här ser du tre alternativ till det nämnda pluginet. Den första alternativen kan vara aktiverad eftersom en lokal databas inte överför data till tredje part. De andra två alternativen bör vara inaktiverade för att undvika juridiska problem. Även om pluginet själv redan påminner om att särskilda dataskyddsmeddelanden ska beaktas för de kritiska alternativen.

Svar till avsändaren

Sändaren av en meddelande förväntar sig sannolikt oftast att få ett svar från dig. Du bör också ge ett svar, om du tycker det är meningsfullt. Men det finns också Bösewichte. Det är mycket lätt att skicka in en främmande e-postadress i ett kontaktformulär. Antingen för att någon har dåliga avsikter eller för att ett misstag har inträffat.

Om en meddelande verkar märklig, svara inte i tvivel. Kontrollera e-postadressen. En disposable address (byom.de, trashmail.net etc.) har den lägsta trovärdigheten. Även Freemailer (gmx.de, web.de etc.) står inte högt i kurs, även om de är vida spridda. Bäst att följa upp är adresser från personer eller företag som har en egen domän. En sådan dedizierte Domäne är till exempel dr-dsgvo.de.

Sök efter och om möjligt kontrollera kort att meddelandet samt eventuellt angiven namn (i meddelandet eller i namnfältet) stämmer överens. Om du har många tvivel, skriv gärna obesvärat till den tänkbara avsändaren av meddelandet och fråga om från dess e-postadress en meddelande skickats via kontaktformuläret. En obesvärad hälsning är viktigt för att undvika intrycket av olovlig reklam. Obesvärat betyder också att du bör ta bort alla reklamloggor eller webbplatsangivelser i din signatur för att vara på den säkra sidan.

Ytterligare idéer

Använd ett egent formulerat formulär och inte färdiga lösningar från paket som Microsoft Forms. Tredjepartsalternativ har ofta rättsliga problem. Vid MS Forms har jag ibland missat en företagsinformation. Dessutom uppstår frågan om datatransfer med USA-anknytning inte utgör ett rättsligt problem hos företag som Microsoft. Jag säger yes, domstolen i Cologne (se ovan) säger yes, EuGH (”Schrems II”) säger också yes.

Jag anser det vara tillåtet att spara IP-adressen vid kontaktupptagande för att ha något att hålla i om juridiska problem uppstår. Här finns en giltig anledning. Detta har jag utförligt undersökt i ett inlägg om serverloggar. Den relevanta delen är innehållande i den ovan nämnda malltexten för Er integritetspolicy.

Jag tyckte att man skulle kalla det för en dataskyddsinformation istället för en dataskyddsutredning. Så skapas intrycket att det handlar om ett avtal, vilket minskar risken (se ovan nämnda dom).

De data du får via ett kontaktformulär behandlar du precis som om du fått en e-post med dessa data. Det finns ingen väsentlig skillnad. De data som behövs förvaras, de som inte längre behövs raderas efter en viss tid. Man bör inte omedelbart radera data i allmänhet, eftersom det kan vara möjligt att någon vill skada dig. I så fall skulle det vara bra om man hade något att hålla i handen för att kunna förklara vad som hände.

SSL-certifikat

Istället för ett formulär kan man enkelt ange länken till din e-postadress. Du behöver inte erbjuda något formulär. Länken till en e-postadress anger du på samma sätt som en vanlig webbadress (URL), men ställer du in texten mailto:

HTML-koden för en sådan länk ser då ut:

<a href="mailto:mail@dr-dsgvo.de">Skriv till mig</a>

Hela bilden ser ut så här på webbplatsen:

Skriv till mig

Om du har en redigerare som till exempel WordPress erbjuder, definierar du då en länk och använder mailto: följt av din e-postadress som länkad adress.

Viktigt: Använd formulär, då bör ni absolut använda ett SSL-certifikat för er webbplats. Er webbplats är sedan bara tillgänglig via https och inte längre via http. Se till att omledningen (Redirect) från http till https är inställd. Kontrollera det genom att besöka er webbplats en gång med http:// (skriv alltså in i din webbläsare: http://meine-webseite-0815.de istället för bara som vanligt meine-webseite-0815.de).

Om ett lås visas bredvid din webbplatsadress i webbläsaren är SSL-certifikatet tillgängligt. För att granska ytterligare egenskaper hos ditt SSL-certifikat, såsom krypteringsdjup eller trovärdigheten hos certifikatleverantören, kan du använda min online-webbplatskontroll:

Sammandrag

Kontaktblanketter ska ställa så få frågor som möjligt och så många frågor som behövs.

För olika ändamål med olika mängd data som krävs bör olika formulär erbjudas.

Om du inte vill erbjuda ett formulär, så erbjuder du inget. Viktigast är att i ditt företags uppgifter på din hemsida har du angiven din e-postadress. Undvik från juridiska skäl att nämna din e-postadress i bildform. Några webbplatsägare nämner sin e-postadress i form av en grafik som visar text för att undvika spam. Detta kommer säkerligen att minska antalet spam, men jag håller det inte för tillåtet. För att någon ska kunna kontakta dig lätt måste du ha din e-postadress så att den kan klickas på och skrivas till. Åtminstone ett copy & paste bör vara möjligt.

Ju mindre data ni begärer i formuläret, desto mindre måste ni beakta. För data som ni inte har, behöver ni inga åtaganden uppfylla. Som ett påminnelse ska bara Auskunftsrecht för berörda personer nämnas. Data som ni inte begärt är för er i första hand ointressanta. Om någon vill ge er sin skattenummer eller kroppslängd via ett formulär, även om ni inte gett något skäl att nämna det i formuläret eller på webbplatsen, ska ni behandla dessa uppgifter lika försiktigt som alla andra data. I tvivelaktiga fall ska ni radera osökt sända känsliga informationer och ignorera meddelandet (eller be om en annan kontaktväg), så länge de inte har någon rättslig betydelse.

För att lugna många ska sägas att vanligtvis inget dataskyddsuppdrag skapas från ett kontaktformulär i sig. Jag känner till endast en fall där det saknade SSL-certifikat var problematiskt. Eller, de data som erhölls via formuläret missbrukades, som man så häftigt säger. Det senare har dock ingenting mer att göra med huvudämnet, formuläret.